“安全者”病毒样本

显示全部楼层 · 发表于 2021-12-5 00:48:36

a27573 发表于 2021-12-5 00:33
服务进程免疫应该是因为没有消息循环

我明白了，只要对消息循环做特殊处理就行了（接到WM_QUIT、WM_CL ...

对，应该有些未公开的方式，可以实现64位系统HOOK ZwOpenProcess/NtOpenProcess

显示全部楼层 · 发表于 2021-12-5 01:04:26

本帖最后由 a27573 于 2021-12-5 01:11 编辑

00006666 发表于 2021-12-5 00:48
对，应该有些未公开的方式，可以实现64位系统HOOK ZwOpenProcess/NtOpenProcess

纠正一下，这里应该是PostThreadMessage，我刚才搞错了

给线程发消息既不需要OpenProcess也不需要OpenThread

显示全部楼层 · 发表于 2021-12-5 07:20:59

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update.
Trojan.Win64.KillWin.a

显示全部楼层 · 发表于 2021-12-5 08:20:55

1.avira miss；
2.火绒 kill（实时响应挺快嘛

）。

显示全部楼层 · 发表于 2021-12-5 08:30:01

本帖最后由 00006666 于 2021-12-5 08:45 编辑

a27573 发表于 2021-12-5 01:04
纠正一下，这里应该是PostThreadMessage，我刚才搞错了
给线程发消息既不需要OpenProcess也不需要 ...

PostThreadMessage……

显示全部楼层 · 发表于 2021-12-5 08:37:17

病毒样本收集者发表于 2021-12-5 07:20
Hello,

New malicious software was found in the attached file. Its detection will be included in t ...

哪款杀软？

显示全部楼层 · 发表于 2021-12-5 08:43:12

yy688go 发表于 2021-12-5 08:37
哪款杀软？

卡巴斯基

显示全部楼层 · 发表于 2021-12-5 09:21:07

a27573 发表于 2021-12-4 21:55
大多是靠发送消息和关闭窗口

理论上还有kill win 1000+文件和kill mbr的代码

显示全部楼层 · 发表于 2021-12-5 10:24:13

病毒样本收集者发表于 2021-12-5 08:43
卡巴斯基

ok

显示全部楼层 · 发表于 2021-12-5 10:58:46

本帖最后由 a27573 于 2021-12-13 23:14 编辑

wwwab 发表于 2021-12-5 09:21
理论上还有kill win 1000+文件和kill mbr的代码

只贴了Kill AV的部分
Kill文件是用cmd命令先获取所有权，修改访问权限后重命名所有sys的后缀
Kill MBR是发送IOCTL_DISK_DELETE_DRIVE_LAYOUT以及直接写\\.\PhysicalDrive0

还有设置映像劫持（Image File Execution Options）

[病毒样本] “安全者”病毒样本

本帖子中包含更多资源

[病毒样本] “安全者”病毒 样本

本帖子中包含更多资源

[病毒样本] “安全者”病毒样本